Este documento mostra como configurar a aprovação de acesso usando o consoleGoogle Cloud para receber notificações por e-mail de solicitações de acesso a um projeto.

A aprovação de acesso garante que uma aprovação assinada criptograficamente esteja presente para que a equipe do Google acesse seu conteúdo armazenado no Google Cloud.

Antes de começar

Inscrever-se no Access Approval

Para se inscrever na Aprovação de acesso, faça o seguinte:

  1. No console Google Cloud , selecione o projeto em que você quer ativar a aprovação de acesso.

    Acessar o seletor de projetos

  2. Acesse a página Access Approval.

    Acessar a Aprovação de acesso

  3. Para se inscrever no Access Approval, clique em Inscrever-se.

  4. Na caixa de diálogo, selecione o modo de inscrição da política e clique em Inscrever.

Modo de inscrição da Aprovação de acesso

É possível configurar a aprovação de acesso em um de três modos e mudar o modo a qualquer momento nas configurações de aprovação de acesso. Os seguintes modos podem ser selecionados:

  1. Transparência (recomendado): use esse modo para monitorar o acesso administrativo do Google à sua carga de trabalho sem aprovação adicional. Para mais informações, consulte a documentação da transparência no acesso.
  2. Suporte simplificado: use esse modo para aprovar automaticamente o acesso do atendimento ao cliente para trabalhar nos seus casos de suporte. Outros motivos de acesso exigem o Access Approval.
  3. Aprovação de acesso: use esse modo para ativar a funcionalidade completa da Aprovação de acesso para todos os acessos.

Os registros da Transparência no acesso são gerados automaticamente para todos os modos do Access Approval.

Definir configurações

Na página Aprovação de acesso no Google Cloud console, clique em Gerenciar configurações.

Selecionar serviços

As configurações da Aprovação de acesso, incluindo a lista de produtos ativados, são herdadas do recurso pai. É possível expandir o escopo da inscrição ativando a Aprovação de acesso para todos ou alguns serviços compatíveis.

Configurar notificações por e-mail e do Pub/Sub

Esta seção explica como receber notificações de solicitação de acesso para este projeto.

Conceder a si mesmo o papel do IAM necessário

Para visualizar e aprovar solicitações de acesso, você precisa ter o papel do IAM de aprovador da aprovação de acesso (roles/accessapproval.approver).

Para conceder esse papel do IAM a você mesmo, faça o seguinte:

  1. Acesse a página IAM no console Google Cloud .

    Acessar o IAM

  2. Na guia Visualizar por principais, clique em Permitir acesso.
  3. No campo Novos participantes, no painel à direita, digite seu endereço de e-mail.
  4. Clique no campo Selecionar um papel e escolha a função Aprovador da aprovação de acesso no menu.
  5. Clique em Salvar.

Adicionar seu nome como aprovador de solicitações de aprovação de acesso e configurar notificações

Para se adicionar como aprovador e poder analisar e aprovar solicitações de acesso, faça o seguinte:

  1. Acesse a página Access Approval no console do Google Cloud .

    Acessar a Aprovação de acesso

  2. Clique em Gerenciar configurações.

  3. Para ativar as notificações por e-mail, adicione seu endereço de e-mail no campo E-mail do usuário ou grupo em Configurar notificações de aprovação.

  4. Para ativar as notificações do Pub/Sub:

    1. Adicione seu tópico do Pub/Sub no campo Tópico do Pub/Sub em Configurar notificações de aprovação.
    2. No Identity and Access Management (IAM), conceda o papel Publicador do Pub/Sub (roles/pubsub.publisher) à principal customer-approval-jobs@system.gserviceaccount.com para permitir que a aprovação de acesso crie notificações. Sem essa etapa, as notificações não serão criadas.

Revisar as configurações padrão

As configurações padrão regem o comportamento das solicitações de aprovação de acesso.

  • Preferir solicitações de aprovação específicas de recursos: define o escopo padrão das solicitações de aprovação de acesso. Por padrão, essa configuração fica desativada. Se você ativar essa configuração, o número de solicitações de aprovação de acesso que você recebe para acessar os mesmos dados poderá aumentar, o que pode atrasar a assistência do suporte do Google. Exemplo de padrões:
    • Desativado: product.googleapis.com/project/12345/
    • Ativado: product.googleapis.com/project/12345/instances/abcde
  • Quantidade padrão de dias até a solicitação de aprovação expirar: define a expiração padrão para solicitações de aprovação de acesso. Isso pode ser mudado no momento da aprovação de cada solicitação.
  • Escopo de acesso máximo preferível: define o maior escopo de acesso a recursos recomendado para um administrador do Google solicitar. Por exemplo, quando definido como "Projeto", os administradores do Google solicitam acesso no nível do projeto ou do recurso.

Escolher sua chave de assinatura

O Access Approval usa uma chave de assinatura para verificar a integridade da solicitação.

Por padrão, um Google-owned and managed key é usado e não requer nenhuma configuração adicional.

Para configurar uma chave de criptografia gerenciada pelo cliente, consulte Como configurar uma chave personalizada.

Analisar solicitações de aprovação

Depois de se inscrever na Aprovação de acesso e se adicionar como aprovador de solicitações de acesso, você vai receber notificações por e-mail para solicitações de acesso.

A imagem a seguir mostra um exemplo de notificação por e-mail que o Access Approval envia quando a equipe do Google solicita acesso aos dados do cliente.

A notificação por e-mail enviada quando a equipe do Google solicita acesso aos Dados do cliente.

Para revisar e aprovar uma solicitação de acesso recebida, faça o seguinte:

  1. Acesse a página Access Approval no console do Google Cloud .

    Acessar a Aprovação de acesso

    Para acessar esta página, clique no link no e-mail enviado a você com a solicitação de aprovação.

  2. Clique em Aprovar.

Depois que você aprovar a solicitação, a equipe do Google com características que correspondem à aprovação, como mesma justificativa, local ou local do espaço de trabalho, poderá acessar o recurso especificado e os recursos filhos dele dentro do período aprovado.

Limpar

  1. Para cancelar a inscrição da Aprovação de acesso, faça o seguinte:
    1. Na página Aprovação de acesso no console do Google Cloud , clique em Gerenciar configurações.
    2. Clique em Cancelar inscrição.
    3. Na caixa de diálogo exibida, clique em Cancelar inscrição.
  2. Para desativar a transparência no acesso na sua organização, entre em contato com o Cloud Customer Care.

Nenhuma outra etapa é necessária.

A seguir